Un falso equipo de IT convence a un abogado para entregar archivos sensibles

Qué ocurrió

El despacho de abogados Blank Rome sufrió un incidente en el que atacantes se hicieron pasar por su propio departamento de IT. Mediante ese engaño convencieron a un abogado de la firma para que subiera archivos a una ubicación controlada por los atacantes.

Entre los ficheros expuestos había datos personales de clientes y contactos del despacho. El caso se enmarca en una ola de ataques de ingeniería social contra compañías estadounidenses documentada por Reuters, en la que el punto de entrada no fue una vulnerabilidad técnica sino el engaño a una persona con acceso legítimo.

Qué enseña a cualquier organización con datos de clientes

Un despacho profesional maneja información sensible de terceros —clientes, contrapartes, empleados de otras empresas— sin ser necesariamente consciente de su valor para un atacante. Suplantar al soporte técnico interno funciona porque la víctima confía en un canal que cree seguro por definición.

El aprendizaje central es que la seguridad de la información no depende solo de firewalls o antivirus, sino de cómo se verifican las peticiones inusuales, sobre todo cuando piden subir, mover o compartir archivos fuera del procedimiento habitual.

Qué conviene revisar

Medidas que reducen el riesgo de este tipo de engaño:

• Procedimiento para verificar por un segundo canal cualquier petición del «IT interno» que implique subir o compartir archivos.
• Formación específica sobre fraudes de soporte técnico, con ejemplos reales y no solo genéricos de phishing.
• Restricciones sobre a dónde puede subirse información sensible desde equipos corporativos.
• Registro y alerta de subidas masivas de archivos a destinos externos poco habituales.

Preguntas frecuentes

¿Cómo lograron los atacantes que el abogado colaborara?

Se hicieron pasar por el departamento de IT del propio despacho, un canal en el que la víctima confiaba por defecto.

¿Qué tipo de datos se expuso?

Información personal de clientes y contactos del despacho, según lo comunicado en el marco de esta ola de incidentes.

¿Cómo se evita este engaño en una empresa pequeña?

Estableciendo que ninguna petición de soporte técnico que implique compartir archivos se atiende sin verificarla por un segundo canal conocido.